« Shadow AI » : que faire quand vos salariés utilisent l'IA sans cadre ?

On parle de « shadow AI » quand des salariés utilisent des outils d'IA sans que l'entreprise les ait choisis ni encadrés : un compte personnel gratuit, une extension de navigateur, une fonction d'IA activée dans un logiciel. La réponse efficace n'est pas l'interdiction générale, mais une offre officielle assortie de règles simples. Un salarié qui dispose d'un outil autorisé et de consignes claires a moins de raisons d'en chercher un autre.

Pourquoi le phénomène existe

Le shadow AI n'est pas, le plus souvent, un acte de défiance. C'est un salarié qui a découvert un outil qui lui fait gagner du temps, et qui ne voit pas où est le problème. Il apparaît quand :

• aucun outil n'est proposé par l'entreprise, ou celui proposé est jugé moins pratique ;
• les règles ne sont pas connues : rien n'a été dit, donc tout semble permis ;
• les salariés craignent d'être mal vus s'ils avouent utiliser l'IA.

Les risques réels pour l'entreprise

La CNIL rappelle que l'organisme utilisateur engage en principe sa responsabilité en cas de mauvaise utilisation d'un système d'IA par son personnel. Ignorer les usages ne protège donc pas l'employeur.

Reprendre la main en quatre étapes

1. Faire un état des lieux sans chasse aux sorcières

Posez la question franchement, par service ou par questionnaire anonyme : quels outils utilisez-vous, pour quelles tâches, avec quelles données ? L'objectif est de connaître les usages, pas de sanctionner ceux qui répondent honnêtement. Si la première démarche est punitive, personne ne dira plus rien.

2. Proposer une solution officielle

Choisissez un ou deux outils adaptés aux besoins identifiés, avec des comptes professionnels. La CNIL recommande, pour un service grand public, d'utiliser une adresse professionnelle plutôt qu'un compte personnel, et de désactiver si possible la réutilisation des données d'usage.

3. Fixer des règles courtes

Trois ou quatre règles suffisent pour commencer : quels outils, quelles données jamais, relecture obligatoire, à qui poser ses questions. Le détail viendra dans une charte.

4. Former, puis revoir

Une règle non expliquée est vite oubliée. Montrez pourquoi certaines données ne doivent pas sortir, comment un outil peut se tromper avec aplomb, et ce que l'entreprise attend. Faites un point quelques mois plus tard : de nouveaux outils seront apparus.

Ce qu'il vaut mieux éviter

• Bloquer tous les outils d'IA sur le réseau : les salariés passeront par leur téléphone personnel, hors de toute visibilité.
• Laisser faire en attendant d'y voir plus clair : les habitudes s'installent, et les données sont déjà parties.
• Traiter le sujet uniquement comme un problème informatique : c'est aussi une question d'organisation du travail et de management.

Transformer le problème en ressource

Un signal à surveiller : si, après la mise en place d'un outil officiel, les usages non autorisés persistent, interrogez-vous sur l'outil lui-même. Il est peut-être moins adapté aux besoins réels que ceux qu'utilisaient les salariés.

Les salariés qui utilisent déjà l'IA en savent souvent plus que la direction sur ce qui fonctionne. Identifiez-les, associez-les au choix des outils et à la rédaction des règles. Ils deviendront des relais plutôt que des contrevenants.

Pour donner à toute une équipe le même socle de pratiques, notre formation « L'IA appliquée à votre métier » part des usages déjà en place et les sécurise, en une journée.